I O ativo mais valioso é também o mais delicado

O prontuário, onde o dado nasce e é guardado, e o marketing, onde a clínica usa informação para captar e se relacionar com pacientes. É exatamente nesses dois pontos que a maioria das clínicas se expõe, sem perceber.

II O que a lei diz

Dado de saúde é sensível, e isso muda o regime

A LGPD trata dado referente à saúde como dado pessoal sensível (art. 5º, II), e estabelece, no art. 11, regras próprias para o seu tratamento. Em geral, ele só pode ser tratado em hipóteses específicas: com consentimento do titular para finalidades determinadas, ou, sem consentimento, em situações como a tutela da saúde, em procedimento realizado por profissionais ou serviços de saúde.

Na prática, isso significa que a clínica não pode tratar dado de saúde "por padrão". Cada uso (atendimento, guarda, compartilhamento, marketing) precisa estar amparado em uma base legal adequada àquela finalidade, e a clínica precisa conseguir demonstrar qual base usou.

Prontuário: regras próprias, inclusive de guarda

O prontuário é o coração do dado sensível na clínica. Além das regras da LGPD sobre acesso e segurança, ele tem normas específicas da área. A Resolução CFM 1.821/2007, por exemplo, estabelece prazo mínimo de guarda do prontuário (20 anos a contar do último registro). Ou seja: o dado precisa ser conservado com segurança por décadas, o que é incompatível com armazenamento informal.

Manter prontuário em planilha solta, em grupo de mensagens ou em arquivos sem controle de acesso é tratar dado sensível sem a segurança que a lei exige, e concentrar, num ponto frágil, justamente a informação mais protegida.

Marketing: a base legal mais exigente

É no marketing que muitas clínicas escorregam com boa intenção. Usar foto, depoimento ou caso clínico de um paciente em anúncio, ou disparar campanha para a base inteira de pacientes, envolve tratamento de dado sensível para finalidade de divulgação. Para esse tipo de uso, a regra costuma ser mais rígida: exige, em geral, consentimento específico e destacado, dado livremente para aquela finalidade.

"A paciente autorizou de boca" ou "ela não se importou" não constituem consentimento válido nos termos da lei. O consentimento precisa ser informado, específico e demonstrável. E há, ainda, a camada das normas de publicidade dos conselhos profissionais (CFM, CFO e outros), que se somam à LGPD e disciplinam o que pode e o que não pode na divulgação.

III Na prática

O equívoco mais comum é tratar a LGPD como um "documento de adequação" que se resolve uma vez e se esquece. Proteção de dados é processo: depende de como a clínica coleta, guarda, usa e compartilha a informação no dia a dia.

Outro ponto sensível é o compartilhamento. Enviar dados para laboratório, operadora de plano, sistema de gestão ou ferramenta de agendamento sem saber quem acessa o quê é tratar dado sensível sem governança. E, perante o titular e a autoridade, a responsabilidade por essa cadeia é, em boa medida, da própria clínica que coletou o dado.

A Autoridade Nacional de Proteção de Dados (ANPD) pode fiscalizar e aplicar sanções. Mas, antes da sanção, o que está em jogo é a confiança: o paciente entregou à clínica o dado mais íntimo que possui, na expectativa de que ele seria tratado com cuidado. Tratar bem esse dado é, ao mesmo tempo, obrigação legal e diferencial de reputação.

IV Checklist de adequação (começando pelo que mais expõe)

  • Tire o prontuário de lugares informais. Migre para sistema com controle de acesso, registro de quem acessa e política de guarda compatível com o prazo da Resolução CFM 1.821/2007.
  • Defina a base legal de cada uso. Atendimento, guarda, compartilhamento e marketing podem exigir bases diferentes; documente qual se aplica a cada finalidade.
  • Reveja o marketing com dados de paciente. Para foto, depoimento e campanha, obtenha consentimento específico, destacado e demonstrável, e observe também as normas do conselho profissional.
  • Mapeie os compartilhamentos. Saiba para quem a clínica envia dados (laboratório, plano, sistemas) e com qual controle.
  • Controle o acesso interno. Nem toda a equipe precisa ver tudo; limite o acesso ao necessário para cada função.
  • Registre o que foi feito. Como em toda gestão de risco, o que não está documentado, para fins de fiscalização, não foi feito.

V Conclusão

Na clínica, o dado mais valioso é também o mais perigoso de tratar errado. E o risco não está escondido em sistemas complexos: está no prontuário e no marketing, os dois processos mais cotidianos. Tratá-los com a base legal certa, segurança adequada e registro é o que reduz, ao mesmo tempo, a exposição a sanções e o risco à confiança do paciente.

Adequar-se à LGPD não significa parar de fazer marketing nem virar a clínica do avesso. Significa reconhecer onde está a maior exposição e endereçá-la primeiro, com método.

Se a sua clínica ainda guarda prontuário de forma informal ou usa dados de pacientes em divulgação sem processo definido, vale priorizar essa adequação com apoio técnico. Para a análise do caso concreto, procure um advogado de sua confiança.

VI Perguntas frequentes

Por que o dado de saúde exige cuidado maior do que outros dados pessoais na LGPD? Porque a LGPD classifica dado referente à saúde como dado pessoal sensível (art. 5º, II), sujeito a regras próprias de tratamento (art. 11). Em geral, só pode ser tratado com consentimento do titular para finalidade determinada ou em hipóteses específicas, como a tutela da saúde por profissionais ou serviços de saúde.

Por quanto tempo a clínica deve guardar o prontuário do paciente? No mínimo 20 anos a contar do último registro, conforme a Resolução CFM 1.821/2007. Esse prazo é incompatível com armazenamento informal — manter o prontuário em planilha solta ou grupo de mensagens é tratar dado sensível sem a segurança que a lei exige.

A clínica pode usar foto ou depoimento de paciente em campanha de marketing sem autorização formal? Não. Usar dado sensível para divulgação exige, em geral, consentimento específico e destacado, dado livremente para aquela finalidade. "A paciente autorizou de boca" não constitui consentimento válido — ele precisa ser informado, específico e demonstrável, além de observar as normas de publicidade dos conselhos profissionais.

A clínica é responsável pelos dados que compartilha com laboratórios e operadoras de plano? Sim, em boa medida. Enviar dados sem saber quem acessa o quê é tratar dado sensível sem governança, e a responsabilidade por essa cadeia recai, perante o titular e a ANPD, sobre a clínica que coletou o dado.

Por onde a clínica deve começar a adequação à LGPD? Pelos dois pontos de maior risco: tirar o prontuário de lugares informais, migrando para sistema com controle de acesso e guarda compatível com a Resolução CFM 1.821/2007, e revisar o marketing com dados de pacientes, obtendo consentimento específico e destacado para cada uso.

VII Leia também

Conteúdo informativo, sem caráter de consulta ou parecer jurídico, elaborado em conformidade com o Provimento 205/2021 da OAB. Cada situação depende de análise individualizada dos fatos e documentos.